Collecte des coordonnées : les exploitants doivent garantir la protection des données
15.10.2020 - La collecte des coordonnées destinée au traçage des contacts est prévue par la loi. L’ordonnance COVID-19 situation particulière précise quelles sont les données qui peuvent être collectées et dans quel but. Les exploitants et les organisateurs sont cependant libres de décider de la manière dont ces données sont collectées. L’utilisation d’applications est autorisée, à condition qu’elle respecte le cadre légal de la protection des données.
Face à l’augmentation rapide du nombre de cas, les mesures de lutte contre la pandémie sont actuellement renforcées, en particulier le traçage « classique » des contacts, qui vise à interrompre les chaînes de contamination.
La loi sur les épidémies constitue la base légale permettant le traçage des contacts. L’ordonnance COVID-19 situation particulière contient quant à elle les dispositions d’exécution concernant les mesures relatives aux installations, établissements et manifestations accessibles au public.
Sur la base de ces dispositions, les exploitants d'installations et d'établissements accessibles au public ainsi que les organisateurs d'événements sont tenus, sous certaines conditions, de collecter les données de contact des visiteurs. Les catégories de données à collecter sont définies ; les données ne peuvent être collectées qu’à des fins de traçage et doivent être supprimées après 14 jours. Les cantons peuvent prévoir ponctuellement des mesures supplémentaires et donc aussi une collecte des données plus étendue, pour autant que les exigences du droit de la protection des données soient respectées.
L’ordonnance laisse expressément ouverte la manière dont la collecte de données est mise en œuvre, mais l’exploitant ou l’organisateur demeure entièrement responsable de la confidentialité des données ainsi que de la sécurité des données.
Il est ainsi autorisé de collecter des données au moyen d’une application informatique. Il existe aujourd’hui un grand nombre de ces applications, notamment dans le secteur de la restauration ou dans le cadre de manifestations. Comme pour les autres méthodes de collecte, l’utilisation d’une telle application doit s’inscrire dans le cadre de la protection des données, les exploitants et les organisateurs restant responsables de la confidentialité et de la sécurité de ces données. Ils doivent notamment s’assurer que seules les données mentionnées dans l’ordonnance sont traitées (et, le cas échéant, dans les actes édictés par les cantons à titre complémentaire) et que ces données – comme il a été dit plus haut – sont supprimées au terme d’un délai de 14 jours.
La collecte d’autres données ou l’utilisation des données à des fins autres que le traçage des contacts, comme l’envoi de publicité en ligne, n’est autorisé qu’avec le consentement des personnes concernées. On s’assurera toutefois que ces personnes sont informées expressément de ce traitement ultérieur des données et qu’elles peuvent s’y opposer à tout moment sans que cela leur porte préjudice. Comme ces applications sont souvent installées spontanément sur place lors de la visite d’installations, d’établissements ou de manifestations, toute utilisation des données collectées à des fins autres que celles qui sont prévues par la loi devrait prendre la forme d’un régime d’opt-in, prévoyant un consentement explicite.